LDAP Migration 3.4.0b vers 4.0.1

[nic-Oban]

Bonjour,
j'ai testé cette semaine une migration depuis un GRR 3.4.0b (Debian 9) vers un GRR 4.0.1 (Debian 10).
Après mise à jour de l'OS, sans problème particulier, je réalise la mise à jour de GRR, récupère la config (bdd mysql et ldap) et procède à la migration de la bdd à la première connexion en administrateur. Tout semble parfaitement fonctionnel. La page de configuration LDAP me confirme que la connexion à l'annuaire est OK tout comme le test de recherche dans l'annuaire.
La connexion avec un compte local (admin, visiteur ou usager) fonctionne correctement, en revanche, la connexion d'utilisateurs du LDAP me renvoie un "Echec de connexion à GRR. Identifiant ou mot de passe incorrect", que l'utilisateur se soit déjà connecté à GRR (donc dans la liste des utilisateurs proposés par l'interface GRR) ou que ce soit un nouvel utilisateur inconnu de GRR.

Auriez-vous une piste où jeter un œil pour tenter de comprendre où se situe le blocage s'il vous plait ? Est-ce qu'il faudrait que je procède par mises à jour successives jusqu'à la 4.0.1 ?
Je peux fournir des infos supplémentaires pour aider au diagnostic si nécessaire.
Merci par avance pour votre aide et bonne journée
Nicolas

[ynaessens]

Bonjour,
pas vraiment d'idée sur la cause de cet échec.
Il serait intéressant de tenter une mise à jour de 3.4.0 vers 3.5.0 pour voir si c'est OK.
Ensuite, tenter le passage de 3.5.0 à 4.0.1 ou 3.5.1 puisque la méthode d'authentification a été modifiée. Il y a peut-être des effets de bord indésirables sur le LDAP.
Cordialement,
YN

[nic-Oban]

Bonjour @ynaessens,
merci pour le retour. Je vais vérifier la proposition de @JeromeDevome ci-dessous puis je tenterai une mise à jour séquentielle, en espérant trouver l'origine du problème pour nous permettre de le corriger/contourner.
Je vous tiens au courant des résultats des tests.

[JeromeDevome]

Bonjour, avez vous testé entre la mise à jour de l'OS et de GRR ?

[nic-Oban]

Bonjour @JeromeDevome,
non, je n'ai pas testé. J'ai voulu faire la mise à jour de GRR mais la version de PHP dans Debian9 est trop ancienne (7.0). Cela m'a poussé à faire la mise à jour OS vers Debian10 (php7.4) puis j'ai enchainé avec la mise à jour de GRR.
Je peux essayer de reprendre ma machine et faire le test de connexion sur GRR 3.3 après mise à jour vers Debian10 pour éliminer ce facteur.

[nic-Oban]

Bonjour à tous les deux @JeromeDevome @ynaessens,
je suis donc reparti d'un serveur fonctionnel Debian 9 Stretch à jour et GRR 3.3.1b.

• La migration vers 3.4.3b remonte une erreur (Erreur sur la requête : CREATE TABLE IF NOT EXISTS grr_participants (idresa int(11) NOT NULL, participant varchar(200) NOT NULL, PRIMARY KEY (idresa,participant)); (1071 : Specified key was too long; max key length is 767 bytes)) liée à une version mysql trop ancienne. Après mise à jour vers Debian 10 Buster, la mise à jour de GRR fonctionne correctement.

• mise à jour de 3.4.3b vers 3.5.0b : fonctionnel sans erreur. La connexion via LDAP fonctionne si une connexion locale administrateur a lieu en premier (après la connexion admin pour mise à jour de la bdd).

• mise à jour de 3.5.0b vers 3.5.1RC1 : fonctionnel sans erreur.

• mise à jour de 3.5.1RC1 vers 4.0.1 : le script de maj de la bdd ne remonte aucune erreur. Tout est vert et OK ! La connexion locale est fonctionnelle. Dans l'interface Admin, la connexion LDAP est en erreur. Il est nécessaire d'ajouter ldap:// dans le config_ldap.inc.php à la variable $ldap_adresse pour que l'interface Admin puisse se connecter au serveur. En revanche, l'authentification via ldap ne fonctionne toujours pas "Echec de connexion à GRR. Identifiant ou mot de passe incorrect". Le suivi de connexions de l'interface Admin voit bien une connexion avec le compte présent dans le LDAP dans la partie "Utilisateurs actuellement connectés" mais pas dans "Journal des connexions depuis le 14/02/2023".
  "Informations GRR et Serveur" ne remonte rien en erreur. Voilà les infos GRR :
  Numéro de version GRR fichier : : 4.0.1 Release-v4.0.1 Numéro de version GRR BDD : : 0400001 Système d'exploitation : : Linux grr 4.19.0-23-amd64 #1 SMP Debian 4.19.269-1 (2022-12-20) x86_64 Version PHP : 7.3.31-1~deb10u2 Base de données : : mysql => 5.5.5-10.3.36-MariaDB-0+deb10u2 Time : 1676303444 Timezone : Europe/Paris

Dans mon cas, c'est donc le passage de 3.5.1RC1 à 4.0.1 qui ne fonctionne pas pour l'authentification LDAP.
Avez-vous besoin d'autres tests ou infos ? Avez-vous une idée pour résoudre cette erreur ?
Merci par avance pour votre aide et bonne journée

[JeromeDevome]

Bonjour @nic-Oban ,
Je vous invite à tester avec la version https://github.com/JeromeDevome/GRR/releases/tag/v4.0.2-RC2 qui reprend le correctif de @ynaessens .

Vous remerciant par avance de votre retour.

[nic-Oban]

Bonjour à tous les deux @ynaessens @JeromeDevome
Me voilà de retour au labo et j'ai pu tester la v4.0.2RC2. Malheureusement, cela ne semble pas fonctionner non plus.

L'authentification locale est toujours ok, la config LDAP semble ok et tous les tests effectués montrent que la connexion et l’interrogation de l'annuaire fonctionnent.

J'ai installé la v4.0.2RC2 en mise à jour de la v4.0.1. Le message d'erreur à la connexion est toujours "Echec de connexion à GRR. Identifiant ou mot de passe incorrect".
J'ai testé avec un compte précédemment connecté et donc importé dans GRR ou avec un compte ne s'étant jamais connecté auparavant, même erreur.

N'hésitez pas à me demander s'il faut faire de nouveaux tests ou fournir des logs.
Bonne journée à vous

[JeromeDevome]

J'ai une bonne nouvelle, j'ai monté un environnement de test et je reproduis le problème et comme une bonne nouvelle n'arrive jamais seul, j'ai résolu le problème via 87926b1. Après c'est moi qui ai causé le problème.

Merci @nic-Oban pour votre patience et vos retours.

[JeromeDevome]

J'ai publié la version RC3 avec le correctif LDAP et d'autre correctifs :)

https://github.com/JeromeDevome/GRR/releases/tag/v4.0.2-RC3

[nic-Oban]

Bonjour @JeromeDevome
merci pour ce correctif ! Comme souvent en dév de code, ce n'était qu'un petit caractère en trop ;)
Merci à tous les deux pour le temps passé à rechercher l'origine du problème.
Bonne journée